低危 Red Hat Linux Enterprise 7 DHCP 拒绝服务漏洞

CVE编号

CVE-2019-6470

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-11-02
漏洞描述
ISC DHCP是美国ISC公司的一套开源的动态主机配置协议服务器软件。
在一个ISC绑定库中,dhcpd在DHCPv6模式下操作时使用的函数中存在一个漏洞。dhcpd中也有一个关于根据文档使用此函数的bug,但是library函数中的bug阻止了它造成任何危害。ISC的所有dhcpd版本都包含这个和其他绑定库的副本,这些库在发布之前已经过测试,并且已知不会出现这样的问题。一些ISC软件的第三方打包程序修改了dhcpd源代码、绑定源代码或版本匹配,从而造成了崩溃的可能性。根据ISC可获得的报告,崩溃的概率很大,而且还没有分析攻击者如何操纵,甚至是否操纵概率。影响:当使用BIND版本9.11.2或更高版本时,版本4.4.1之前的dhcpd版本的构建,或者绑定带有特定bug修复的版本。ISC无法访问所有易受攻击的dhcpd重新打包的综合版本列表。特别是,来自其他供应商的构建也可能受到影响。建议操作员查阅其供应商文件。

解决建议
目前厂商已发布升级补丁以修复漏洞,补丁获取链接:
https://gitlab.isc.org/wpk/bind9/commit/65a483106e45704e19781bfe4f4634db4f77562e
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 isc bind * From
(including)
9.11.2
运行在以下环境
应用 isc dhcpd * Up to
(excluding)
4.4.1
运行在以下环境
系统 alibaba_cloud_linux_2.1903 dhcp * Up to
(excluding)
4.2.5-77.2.al7
运行在以下环境
系统 alpine_3.11 dhcp * Up to
(excluding)
0
运行在以下环境
系统 alpine_3.12 dhcp * Up to
(excluding)
0
运行在以下环境
系统 alpine_3.13 dhcp * Up to
(excluding)
0
运行在以下环境
系统 alpine_3.14 dhcp * Up to
(excluding)
0
运行在以下环境
系统 alpine_3.15 dhcp * Up to
(excluding)
4.4.1-r0
运行在以下环境
系统 alpine_edge dhcp * Up to
(excluding)
0
运行在以下环境
系统 amazon_2 dhcp * Up to
(excluding)
4.2.5-77.amzn2.1.1
运行在以下环境
系统 centos_8 dhcp * Up to
(excluding)
4.3.6-34.el8
运行在以下环境
系统 debian_9 dhcp * Up to
(excluding)
4.3.5-3+deb9u1
运行在以下环境
系统 opensuse_Leap_15.0 dhcp * Up to
(excluding)
4.3.5-lp150.5.3.1
运行在以下环境
系统 opensuse_Leap_15.1 dhcp * Up to
(excluding)
4.3.5-lp151.6.3.1
运行在以下环境
系统 oracle_7 dhcp * Up to
(excluding)
4.2.5-77.0.1.el7
运行在以下环境
系统 oracle_8 dhcp * Up to
(excluding)
4.3.6-34.el8
运行在以下环境
系统 redhat_8 dhcp * Up to
(excluding)
4.3.6-34.el8
运行在以下环境
系统 suse_12_SP4 dhcp * Up to
(excluding)
4.3.3-10.19.1
运行在以下环境
系统 suse_12_SP5 dhcp * Up to
(excluding)
4.3.3-10.19.1
运行在以下环境
系统 ubuntu_18.04 dhcp * Up to
(excluding)
4.3.5-3ubuntu7.1
阿里云评分
3.1
  • 攻击路径
    远程
  • 攻击复杂度
    复杂
  • 权限要求
    无需权限
  • 影响范围
    有限影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    无影响
  • 数据完整性
    无影响
  • 服务器危害
    无影响
  • 全网数量
    100
CWE-ID 漏洞类型
NVD-CWE-noinfo
阿里云安全产品覆盖情况